风萧萧@wooyun.org

简要描述:

汽车之家Andriod客户端反馈意见XSS漏洞
杀进了汽车之家反馈后台,对一大群数据无爱
亲,cookies里的_Admin是什么东西?
盲打的,居然汽车之家还不是厂商~~
中秋节/国庆节快乐!

详细说明:

1.下载汽车之家android的手机客户端,本人苦逼屌丝党,木有钱买车看看总行的!

clip_image001

2.点击【更多】->【意见反馈】,可插入XSS代码,进行后台feedback盲打!

clip_image002

3.不过一个小时,管理员就上钩了,好几个挖!

http://edit.autohome.com.cn/APPStatistics/Report/FeedBack.aspx

agent:

Mozilla/5.0 (iPad; CPU OS 5_1_1 like Mac OS X; zh-cn) AppleWebKit/534.46.0 (KHTML, like Gecko) CriOS

cookie:

_Admin=o3DgtYZH8OXFWJBwFq/SxChLmmbC59NfDUgGwsYdPm9xvqOLBfeOadt5BRoI2qqV3kb60GGR6MBbAY5k9lBoY9xKKd7aAEnE5ir6PbsAZIFZOCXr/7FAloB/z+PgUr3I5m+Z+G8yg5APcyq3twdUDtrX3IE5+d+AVKrb8mKDKOsvi8RYmVcsgBmAwlj8D90GIZu4Oztc6zU-

漏洞证明:

4.不多说,进入后台截个图留念。表示风萧萧到此一游!

clip_image003

修复方案:

1.后台禁止对外开放,或者做好ACL
2.xss做好防范

源链接

Hacking more

...